La configuración de un Servicio de Internet basado en ubicación geográfica en dispositivos FortiGate es una funcionalidad avanzada que permite gestionar y filtrar el tráfico según la geolocalización del destino o fuente. Esta implementación es especialmente útil para optimizar políticas de seguridad y rendimiento, controlando accesos o limitando conexiones a determinados países, regiones o ciudades, además de poder definir excepciones para servicios específicos.
Campos principales
Al crear un nuevo servicio de Internet basado en geolocalización, se deben completar varios campos clave que determinan exactamente la zona y el servicio que se desea definir:
- Nombre (Name): Identificador personalizado del servicio para facilitar su administración y referencia en políticas y reglas.
- Tipo (Type): En este caso, será «Geographic Based» lo que indica que la configuración se basa en la ubicación geográfica asociada al tráfico.
- Servicio Maestro de Internet (Master Internet Service): Selección de un servicio base predefinido (ej. Google) sobre el cual se aplicará la restricción geográfica. Estos servicios tienen listados sus rangos IP y dominios asociados.
- País/Región (Country/Region): Selección del país que delimita el área geográfica del filtro. Esto limita el tráfico al identificado dentro de ese territorio.
- Región (Region): Segmentación más fina dentro del país que permite selección de estados o provincias, ideal para políticas más precisas.
- Ciudad (City): Detalle aún más puntual que delimita el tráfico a una localidad específica, útil en escenarios corporativos o regionales.
Cada campo contribuye a definir el conjunto de IPs, dominios o servicios que el equipo considerará para aplicar reglas. El uso incorrecto o impreciso de estas opciones puede ocasionar bloqueos erróneos o permitir tráfico no deseado.
Compatibilidad de versiones y modelos
La funcionalidad de servicios de Internet basados en ubicación geográfica está disponible a partir de FortiOS 7.4.x,7.6.x y ha sido mejorada en versiones posteriores como 7.0 y 7.2. Esto gracias a la integración progresiva con bases de datos de amenazas y ubicaciones para enriquecer las políticas. Está destinada a equipos FortiGate de gama media y alta, especialmente aquellos desplegados en entornos empresariales o sucursales, ya que modelos de gama baja o antiguos pueden no contar con la capacidad para procesamiento eficiente de estas bases.
Limitaciones comunes incluyen la ausencia de esta función en FortiOS 5.x o primeros 7.x, además de cambios importantes en la interfaz gráfica entre versiones, donde algunos parámetros pasaron a tener nuevas denominaciones o métodos de configuración. Por ejemplo, en versiones más antiguas, la segmentación por ciudad no estaba disponible o era menos precisa, mientras que ahora se puede configurar con un detalle más granular. Siempre se recomienda verificar la documentación oficial para la versión específica de firmware y modelo usado.
Escenarios de uso y recomendaciones
Esta configuración se usa comúnmente para:
- Restringir el acceso a servicios globales solo desde ubicaciones autorizadas, por ejemplo, permitir solo conexiones a Google desde oficinas en California.
- Prevenir tráfico malicioso originado fuera de zonas geográficas de confianza, bloqueando conexiones de países o regiones no permitidos.
- Optimizar el enrutamiento y manejo de tráfico en redes con múltiples sedes, aplicando reglas diferenciadas por localización.
Un error frecuente es seleccionar un país o región incorrecto, lo que puede generar bloqueo o permisos inadecuados, afectando la disponibilidad del servicio. Por seguridad, Fortinet recomienda mantener la base de servicios actualizada y validar las reglas con pruebas antes de aplicarlas en producción, para evitar impactos en los usuarios.
Comandos de CLI útiles para diagnóstico
Algunos comandos útiles para verificar y diagnosticar la configuración en FortiGate incluyen:
show firewall internet-service: muestra la configuración actual de los servicios de Internet creados.diag debug application ipsmonitor 255: permite observar en tiempo real los eventos relacionados con la identificación y bloqueo basada en servicios y ubicación.diagnose firewall internet-service lookup: consulta si una IP está asociada al servicio de Internet y localización configurados, para pruebas puntuales.get system performance top: monitoriza en tiempo real la carga del sistema y permite identificar si la función geográfica está afectando rendimiento.
Buenas prácticas de configuración
- Actualizar periódicamente la base de datos de servicios de Internet para que los rangos IP y localizaciones estén vigentes.
- Realizar pruebas con usuarios o equipos de prueba antes de implementar reglas en producción para evitar interrupciones.
- Evitar configuraciones muy restrictivas sin excepciones, dado que pueden bloquear servicios válidos y generar falsas alarmas.
- Documentar claramente el propósito de cada servicio geográfico definido para facilitar mantenimiento y auditorías.
- Monitorizar logs y eventos asociados para detectar posibles errores de configuración o intentos de acceso sospechosos.
- Considerar la integración con otros perfiles de seguridad del FortiGate para reforzar la protección (IPS, antivirus, etc.).